Как настроить удаленное устройство для VPN-соединения?

Из-за симметричности туннеля параметры VPN-соединения, настроенные в виртуальной инфраструктуре, должны совпадать с параметрами в вашем аппаратном ЦОД. В случае различия параметров, VPN-соединения не будет установлено.

Для успешного VPN-соединения вам также необходимо настроить IPsec VPN на маршрутизаторе или межсетвом экране в вашем аппаратном ЦОД. Метод настройки может различаться в зависимости от используемого сетевого устройства. Подробнее читайте в руководстве по настройке вашего сетевого устройства.

Ниже описано, как настроить IPsec VPN на модели межсетевого экрана Huawei USG6600 (релиз «V100R001C30SPC300»).

Например, подсети центра обработки данных — 192.168.3.0/24 и 192.168.4.0/24, подсети VPC — 192.168.1.0/24 и 192.168.2.0/24, а публичный IP-адрес шлюза в VPC — XXX.XXX.XXX.XXX.

Войдите в интерфейс командной строки (CLI) межсетевого экрана.

Проверьте версию релиза.

display version
17:20:502017/03/09
Huawei Versatile Security Platform Software
Software Version: USG6600 V100R001C30SPC300 (VRP (R) Software, Version 5.30)

Создайте и опишите разрешенный список доступа (ACL) и назначьте соответствие целевому инстансу VPN.

acl number 3065 vpn-instance vpn64
rule 1 permit ip source 192.168.3.0 0.0.0.255 destination 192.168.1.0 0.0.0.255
rule 2 permit ip source 192.168.3.0 0.0.0.255 destination 192.168.2.0 0.0.0.255
rule 3 permit ip source 192.168.4.0 0.0.0.255 destination 192.168.1.0 0.0.0.255
rule 4 permit ip source 192.168.4.0 0.0.0.255 destination 192.168.2.0 0.0.0.255
q

Создайте и опишите политику IKE.

ike proposal 64
dh group5
authentication-algorithm sha1
integrity-algorithm hmac-sha2-256
sa duration 3600
q

Создайте описание смежного устройства IKE (в этом случае VPN Gateway в виртуальной инфраструктуре VPC) и укажите ссылку на созданную политику IKE. IP-адрес смежного устройства — 93.188.242.110.
```
ike peer vpnikepeer_64
pre-shared-key ******** (******** specifies the pre-shared key.)
ike-proposal 64
undo version 2
remote-address vpn-instance vpn64 93.188.242.110
sa binding vpn-instance vpn64
q
```

Опишите режим работы протокола IPsec.

ipsec proposal ipsecpro64
encapsulation-mode tunnel
esp authentication-algorithm sha1
q

Создайте и опишите политику IPsec и укажите ссылку на политику IKE и режим работы протокола IPsec.
```
ipsec policy vpnipsec64 1 isakmp
security acl 3065
pfs dh-group5
ike-peer vpnikepeer_64
proposal ipsecpro64
local-address xx.xx.xx.xx
q
```
Примените политику IPsec к субинтерфейсу.
```
interface GigabitEthernet0/0/2.64
ipsec policy vpnipsec64
q
```
Проверьте подключение с помощью утилиты ping. И убедитесь, что удаленный IP-адрес доступен.

Как настроить удаленное устройство для VPN-соединения?

Была ли статья полезной?